🇰🇷 한글 설명
Microsoft Knack 0.12.0 버전의 knack.introspection 모듈에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 특정 패턴의 docstring을 처리할 때 비효율적인 정규 표현식으로 인해 과도한 CPU 사용량이 발생할 수 있습니다. 공격자가 docstring 내용을 제어할 수 있는 경우 시스템 자원을 고갈시킬 수 있습니다.
💡 쉬운 설명
특수하게 조작된 긴 텍스트를 입력하면 프로그램이 이를 처리하느라 컴퓨터의 두뇌(CPU)를 과도하게 사용하여 멈추게 만드는 공격입니다. 공격자가 입력창 등에 특정 패턴의 글을 넣으면 시스템이 느려지거나 마비될 수 있습니다.
🇺🇸 원문 (English)
Microsoft Knack 0.12.0 allows Regular expression Denial of Service (ReDoS) in the knack.introspection module. option_descriptions employs an inefficient regular expression pattern: "\s(:param)\s+(.+?)\s:(.*)" that is susceptible to catastrophic backtracking when processing crafted docstrings containing a large volume of whitespace without a terminating colon. An attacker who can control or inject docstring content into affected applications can trigger excessive CPU consumption. This software is used by Azure CLI.
📍 영향받는 시스템
Microsoft Knack 0.12.0 (Azure CLI에서 사용됨)
⚔️ 공격 벡터
조작된 docstring 콘텐츠를 주입하여 정규 표현식의 카탈로픽 백트래킹 유도
🛡️ 대응 방법
Microsoft Knack을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.12.0과 일치하는지 확인하십시오.
pip show knack 2>/dev/null | grep -E 'Version'